# a207-router-mcp（M13 · 意图路由与安全闸）

调度 Agent 独占的确定性判定层。安全红线不交给概率模型：P0 危急词、三条互斥硬规则
（MX-1/MX-2/MX-3）、权限矩阵，全部落成可单测的纯函数。

- 技术栈：FastMCP ≥2.0 + pydantic ≥2 + Python 3.13，stdio 传输
- 依据：`docs/01_多智能体与MCP总体需求梳理_v1.md` §5/§6/§7、`docs/02_Wave1_构建规格_v1.md` §2.1
- 零跨包引用：不 import 任何其他 `a207-*` 包，入参由调度 Agent 从 PCP 取值后显式传入

## 包结构

```
src/a207_router_mcp/
  core.py          安全闸 + 意图分类（纯逻辑，无 fastmcp）
  permissions.py   权限矩阵执行点 + 写工具识别（MX-3 落点）
  constants.py     角色、13 个 MCP 登记表、权限矩阵、写权策略
  lexicon.py       P0 危急词、分期词族、意图路由表、槽位词典
  slots.py         正则抽槽位
  models.py        pydantic 请求/响应模型
  server.py        FastMCP 实例，挂载四个工具
tests/test_tools.py  46 个断言，纯 python 可跑
```

## 四个工具

### check_safety_gate(intent, caller, target_mcp="")

判定顺序固定：**P0 危急词 → 入参登记校验 → MX-1 → MX-2 → MX-3 → 权限矩阵兜底**。

返回：`{allow, reason, applied_rule, gate, delegate_to, requires_confirmation, matched_keywords}`
- `applied_rule`：`MX-1 | MX-2 | MX-3 | none`
- `gate`：`P0_EMERGENCY | INPUT | MX | PERMISSION_MATRIX | PASS`，用于区分同为 `none` 的拒绝来源

| 规则 | 内容 |
|------|------|
| P0 | 命中危急词（抽搐/少尿/无尿/大量出血/意识不清等 30 余条）即断崖终止，不进入任何业务 MCP |
| MX-1 | 分期/eGFR/几期/肾小球滤过/PEW/生长障碍/血压百分位类问题，caller 为 nutritionist 或 parent_assistant 时拒绝并 `delegate_to=doctor_assistant`；`a207-ckd-clinical-calc-mcp` 对非 doctor_assistant 一律关闭 |
| MX-2 | `a207-gamification-mcp` 只接受 child_companion；child_companion 调 HIS/LIS/营养计算/临床计算/食谱/风险/报告/通知一律拒绝 |
| MX-3 | 写工具 → 允许 caller：`upsert_lab_result`→doctor_assistant；`upsert_food_diary`→parent_assistant/child_companion；`log_meal_checkin`、`award_badge`→child_companion；`push_to_emr`→doctor_assistant（`requires_confirmation=true`）；`notify_*`/`trigger_warning_event`/`close_warning`→risk_warning。工具与 target_mcp 不匹配同样拒绝 |

`intent` 可传用户原文，也可直接传工具名；中文写入说法（写回病历、录入化验、打卡等）已登记别名，避免绕过 MX-3。

### classify_intent(text)

规则命中优先，未命中返回 `intent="unknown"` 且 `fallback="llm"`，由上层软分类后**再过一次安全闸**。

返回：`{intent, mcp, slots, confidence, allowed_callers, matched_keywords, candidates, fallback, note}`

| intent | 目标 MCP | 允许 caller |
|--------|----------|-------------|
| emergency_red_flag | a207-router-mcp | 全部（强制前置，`fallback=halt`） |
| patient_profile | a207-his-mcp | 调度/医生/营养师(RL)/家长(RL)/风险预警 |
| clinical_staging | a207-ckd-clinical-calc-mcp | 仅 doctor_assistant |
| lab_result | a207-lis-mcp | 医生/家长(受限视图)/风险预警 |
| nutrition_calc | a207-nutrition-calc-mcp | 医生/营养师/家长 |
| meal_plan | a207-meal-plan-mcp | 医生/营养师 |
| risk_assessment | a207-risk-rules-mcp | 医生/风险预警 |
| nutrition_assessment | a207-nutrition-assessment-mcp | 见权限矩阵，写入按 MX-3 |
| gamification | a207-gamification-mcp | 仅 child_companion |
| notify | a207-notify-mcp | 仅 risk_warning 可写 |
| report | a207-report-mcp | 医生/营养师/家长(RL)/风险预警 |
| knowledge | a207-knowledge-mcp | 全部，按角色切语料 |
| followup | a207-followup-mcp | 医生/营养师/风险预警 |

打分口径：命中关键词长度求和，同分按优先级（P0→P5）取胜；`confidence = min(0.95, 0.50 + 0.05 × 分数)`。
"排食谱/一周食谱/三餐怎么安排"路由到 M7；裸词"食谱"按构建规格 §2.1 归 M5，由调用方结合上下文决定是否转交。

### check_permission(caller, mcp, action="read")

需求文档 §7 权限矩阵的执行点。`action` 可传 `read`/`write`，也可直接传工具名。

返回：`{allow, access, resolved_action, reason, write_tool, requires_confirmation, limited_view}`
- `access` 为矩阵原始格子：`R` / `RL` / `R/W` / `-`；`limited_view=true` 表示只能给受限视图
- **精度说明**：命中已登记写工具时，MX-3 映射优先于矩阵格子（v1.2 已用 MX-3 收口写入路径），
  因此 `parent_assistant + a207-nutrition-assessment-mcp + upsert_food_diary` 放行，其余读操作仍按矩阵为 `-`。

### extract_slots(text)

正则 + 词典抽槽位，抽不到留空，绝不猜测。

返回：`{patient_id, food[], analyte[], date[], number[], age_years, weight_kg, height_cm, time_window_days, meal, measure[]}`
- `patient_id` 匹配 PCP 契约 `^P[0-9]{4,}$`
- `analyte` 归一到 PCP 字段名（potassium / phosphorus / scr / albumin / hemoglobin …），单位口径以
  `contracts/pcp-schema.json` 为准：Scr μmol/L，K/P/Ca mmol/L，能量 kcal，蛋白 g，身高 cm，体重 kg
- `number` 保留原始单位；斤自动折算 kg，月龄自动折算岁

## 验证

```
python -m py_compile src/a207_router_mcp/*.py
python tests/test_tools.py     # total=46 passed=46 failed=0
```

单测覆盖：MX-1/MX-2/MX-3 越权拒绝与正常放行、P0 断崖、未登记 caller/MCP、矩阵兜底、
意图路由 8 例、权限矩阵 6 组、槽位抽取 6 例，另含"无跨 a207 包引用 + 纯逻辑层不依赖 fastmcp"的静态自查。

启动（需先安装 fastmcp）：`fastmcp dev src/a207_router_mcp/server.py` 或 `python -m a207_router_mcp.server`。